Celular ligado depois da apreensão: A janela cega na cadeia de custódia da prova digital

Quem atua na defesa criminal conhece a cena. O celular é apreendido na prisão em flagrante, segue ligado na delegacia, recebe mensagens, sincroniza com a nuvem e, não raro, é manuseado por algum agente para uma primeira olhada nas conversas. Semanas depois chega aos autos um relatório com capturas de tela e horários de envio, sem nenhuma informação sobre quem teve acesso ao aparelho nesse intervalo, se ele foi isolado da rede ou de onde vieram as datas e horas exibidas.

O problema não é de forma. A prova digital pode ser alterada sem deixar marca visível, inclusive a distância e até sem intervenção humana direta. Por isso a cadeia de custódia, que no vestígio físico já é exigência séria, assume no ambiente digital papel ainda mais decisivo.

O que o Código já exige

Os arts. 158-A a 158-F do CPP, introduzidos pela lei 13.964/19, disciplinam a cadeia de custódia como o conjunto de procedimentos destinados a documentar a história cronológica do vestígio. Duas etapas do art. 158-B interessam aqui: o isolamento (inciso II), ato de evitar que se altere o estado das coisas, e o acondicionamento (inciso V), que exige a anotação da data, da hora e do nome de quem realizou a coleta. Nucci lembra que a preservação é dever da autoridade policial e que quem modifica o vestígio sem autorização pode responder por fraude processual (NUCCI, 2026, p. 376-377). Para um celular, isolar significa cortar a comunicação com o exterior, por modo avião ou gaiola de Faraday, e registrar o estado em que foi encontrado, como orienta a norma ABNT NBR ISO/IEC 27037.

Duas cadeias de custódia no mesmo aparelho

Geraldo Prado observa que, na prova armazenada em dispositivo móvel, há duas cadeias a preservar: a do equipamento e a dos dados (PRADO, 2021, p. 9). Entre as práticas que tornam o elemento probatório imprestável, o autor aponta a omissão no cálculo imediato do hash, a manipulação do aparelho e a não identificação da existência de “rede aberta ou fechada a evitar manipulação à distância” (PRADO, 2021, p. 23). Não é preciosismo técnico. Um aparelho conectado pode receber, apagar ou reorganizar mensagens, sofrer exclusão remota de conteúdo e ter registros sobrescritos pelo próprio sistema, cujas rotinas automáticas de limpeza da memória continuam a funcionar enquanto ele está ligado. O tempo, nesse cenário, não é neutro.

O hash tem data de nascimento

É comum que a acusação responda à impugnação apresentando o hash da extração. O argumento resolve menos do que parece. O hash funciona como impressão digital do arquivo, e qualquer alteração, ainda que de um único bit, muda o resultado. Mas ele só garante que o arquivo não mudou depois de calculado. Sobre o que aconteceu antes, nada diz.

Se o celular foi apreendido numa segunda-feira e a extração ocorreu na quinta, os três dias de intervalo ficam descobertos. Quem teve acesso ao aparelho? Ele foi desbloqueado? Houve sincronização? O hash comprova a integridade do arquivo a partir de certo instante. Só a documentação da cadeia comprova que aquele dado é o mesmo que estava no aparelho quando ele foi apreendido. No AgRg no HC 1.014.212/ES, julgado em fevereiro de 2026, a 6ª turma do STJ afirmou que, havendo dúvida razoável sobre a integridade da prova digital, a perícia é necessária, e que a autorização judicial para acesso aos dados não supre a falta de lastro técnico sobre a preservação do material desde a apreensão.

O horário que ninguém certificou

Há um segundo problema, menos discutido: o horário. Os aplicativos de mensagens guardam mais de uma marcação de tempo, como a do servidor e a do dispositivo, além dos metadados de criação, modificação e acesso dos arquivos. Quando o relatório policial traz apenas uma data e uma hora, sem indicar a fonte, o fuso e alguma certificação, a informação temporal não está provada. É apenas o que o sistema declarou. A data só se torna oponível quando certificada por terceiro, por meio de carimbo de tempo (RFC 3161). Sem isso, e sem a anotação exigida pelo art. 158-B, V, do CPP, conteúdos recebidos depois da apreensão podem se misturar ao que existia no momento da prisão. Prado lembra que o guia de prova eletrônica do Conselho da Europa recomenda registrar o estado do aparelho, as pessoas que usaram o sistema e cada ação realizada, com a hora exata (PRADO, 2021, p. 19).

Rafael Serra Oliveira desenvolve raciocínio semelhante a partir da interceptação telefônica: sem os registros de dia, hora e terminal, não há como verificar se a captação respeitou a autorização judicial, e devem ser tidos por ilegais os diálogos cuja legalidade não possa ser verificada (OLIVEIRA, 2025, RB-1.34). A lógica serve ao celular que permaneceu ativo após a apreensão. Se não é possível separar o que já estava ali do que chegou depois, a prova perde a capacidade de demonstrar aquilo que pretende.

Nulidade relativa e o prejuízo que se pode demonstrar

A principal resistência a essas teses está na ideia de que a violação da cadeia gera nulidade relativa, dependente de prova do prejuízo. É a posição de Nucci (2026, p. 377), e a jurisprudência, desde o HC 653.515/RJ, afirma que a quebra não conduz necessariamente à imprestabilidade da prova. Prado vai além: a questão é de admissibilidade, e não de peso, e a prova obtida com violação da cadeia não serve nem como corroboração (PRADO, 2021, p. 1, 5 e 24). Oliveira adota posição intermediária. Admite a inadmissibilidade quando a quebra rompe o vínculo entre a fonte de prova e o fato ou impede o contraditório e, se a prova for admitida, exige reforço de fundamentação para condenar (OLIVEIRA, 2025, RB-1.30 a RB-1.35).

Mesmo na premissa mais restritiva, o prejuízo, no caso do celular conectado após a apreensão, é demonstrável. Não se pode exigir da defesa a prova da adulteração, porque a falta de registro é justamente o que a impede. O prejuízo está na janela: o período em que o aparelho ficou sob custódia estatal, ligado e sem documentação, durante o qual qualquer alteração poderia ocorrer sem deixar rastro. Demonstrá-lo é indicar quanto tempo durou essa janela, quais funções estavam ativas e o que poderia ter mudado nela.

O STJ já afirmou que cabe ao Estado comprovar a integridade das fontes de prova que apresenta. No AgRg no RHC 143.169/RJ, a 5ª turma declarou inadmissíveis dados extraídos de celular sem garantia de integridade. No AgRg no HC 828.054/RN, a mesma turma afastou a prova obtida por acesso direto ao aparelho apreendido, sem ferramenta forense, e assentou ser incabível presumir a veracidade das alegações estatais quando descumprida a cadeia de custódia.

O que pedir no processo

A defesa deve começar pelos documentos: o auto de apreensão com o estado de energia do aparelho, o registro do isolamento e do momento em que ocorreu, a ficha de acompanhamento do vestígio com todos que tiveram posse ou acesso e o arquivo original da extração, e não apenas o relatório em PDF. Importa saber qual algoritmo de hash foi usado, já que MD5 e SHA-1 não são mais considerados seguros, e quando foi calculado. Os quesitos devem perguntar se o aparelho foi isolado e quando, se há registro de conexões ou acessos após a apreensão, qual ferramenta e qual versão foram empregadas e de que fonte vêm os horários das mensagens. Convém lembrar, ainda, que eventual perícia posterior reexamina o aparelho, mas não reconstrói a história do que aconteceu com ele.

Conclusão

A cadeia de custódia da prova digital não é formalidade. É o que permite afirmar que a conversa exibida em juízo é a mesma que estava no celular quando o Estado o apreendeu. Se o aparelho permanece ligado e conectado, sem registro de quem o acessou e sem certificação dos horários, essa afirmação deixa de ser possível. O hash calculado dias depois não fecha a lacuna, a fé pública não a supre e a perícia posterior não a reconstrói. Cabe à defesa apontá-la com precisão e ao Judiciário extrair dela as consequências devidas.

_______

ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR ISO/IEC 27037: tecnologia da informação: técnicas de segurança: diretrizes para identificação, coleta, aquisição e preservação de evidência digital. Rio de Janeiro: ABNT, 2013.

BRASIL. Superior Tribunal de Justiça (5. Turma). Agravo Regimental no Recurso em Habeas Corpus 143.169/RJ. Relator para o acórdão: Min. Ribeiro Dantas. DJe, 2 mar. 2023.

BRASIL. Superior Tribunal de Justiça (5. Turma). Agravo Regimental no Habeas Corpus 828.054/RN. Relator: Min. Joel Ilan Paciornik. Julgado em 23 abr. 2024. DJe, 29 abr. 2024.

BRASIL. Superior Tribunal de Justiça (6. Turma). Agravo Regimental no Habeas Corpus 1.014.212/ES. Relator: Min. Carlos Pires Brandão. Julgado em 10 fev. 2026. DJEN, 20 fev. 2026.

BRASIL. Superior Tribunal de Justiça (6. Turma). Habeas Corpus 653.515/RJ. Relator: Min. Rogerio Schietti Cruz. Julgado em 23 nov. 2021.

NUCCI, Guilherme de Souza. Curso de direito processual penal. 23. ed. Rio de Janeiro: Forense, 2026.

OLIVEIRA, Rafael Serra. Cadeia de custódia no processo penal. São Paulo: Thomson Reuters Brasil, 2025.

PRADO, Geraldo. Breves notas sobre o fundamento constitucional da cadeia de custódia da prova digital. Consultor Jurídico, São Paulo, 26 jan. 2021. Disponível em: https://www.conjur.com.br/wp-content/uploads/2023/09/artigo-geraldo-prado.pdf. Acesso em: 11 out. 2026.